CVE-2021-41238
Açıklama
Hangfire, .NET veya .NET Core uygulamalarında arka plan işi işleme gerçekleştirmek için kullanılan açık kaynaklı bir sistemdir. Windows Hizmeti veya ayrı bir süreç gerekmez. Hangfire.Core içindeki Dashboard UI, hassas verilerin yetkisiz kullanıcılara gösterilmesini önlemek için yetkilendirme filtreleri kullanır. Varsayılan olarak, özel yetkilendirme filtresi belirtilmediğinde, yalnızca yerel isteklere izin vermek ve tüm uzak istekleri yasaklamak için `LocalRequestsOnlyAuthorizationFilter` filtresi kullanılarak makul, varsayılan olarak korunan ayarlar sağlanır. Ancak son değişiklikler nedeniyle, 1.7.25 sürümünde varsayılan olarak hiçbir yetkilendirme filtresi kullanılmaz ve uzak isteklerin başarılı olmasına izin verilir. `UseHangfireDashboard` yöntemini varsayılan `DashboardOptions.Authorization` özellik değeriyle kullanıyorsanız, kurulumunuz etkilenir. `DashboardOptions.Authorization` özelliğinde başka bir yetkilendirme filtresi belirtilmişse, etkilenmezsiniz. Yamalanmış sürümler (1.7.26) hem Nuget.org üzerinde hem de github deposunda etiketli bir sürüm olarak mevcuttur. Varsayılan yetkilendirme kuralları artık `LocalRequestsOnlyAuthorizationFilter` filtresini varsayılan ayarlara dahil ederek uzak istekleri varsayılan olarak yeniden yasaklar. Sorunu hafifletmek için lütfen en yeni sürüme yükseltin. Yükseltme yapamayan kullanıcılar için, Dashboard UI yapılandırılırken `LocalRequestsOnlyAuthorizationFilter` açıkça kullanılarak sorun hafifletilebilir.
Nasıl düzeltilir
- Hangfire.Core1.7.26 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| hangfire hangfire | 1.7.25 | — |
| Hangfire.CoreNuGet | 1.7.25 ≤ v < 1.7.26 | 1.7.26 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.